新思科技薛植元：我国87.4%企业使用开源技术 开源治理需重视

【TechWeb】当前，全球开源市场发展迅速，国内企业也在积极拥抱开源，为自身带来显而易见的利益。

中国信息通信研究院(以下简称“信通院”)日前发布的《开源生态白皮书(2020年)》显示，我国开源软件应用比例略有提升，2019年我国企业已经使用开源技术的企业占比为87.4%。随着开源软件的应用越来越广泛和深入，风险日益凸显，开源治理被越来越多的企业重视。

新思科技软件质量与安全部门销售总监兼管理顾问薛植元在接受TechWeb采访时表示，根据新思科技发布的《2020年开源安全和风险分析》报告（OSSRA），在过去一年中，99%被审计的所有有效代码库至少包含一个开源组件，其中开源占所有代码的70%。企业使用开源软件将会面临安全漏洞、许可证违规和运维三大风险。

新思科技2020 OSSRA报告还发现经过审计的代码库中，75%包含具有已知安全漏洞的开源组件，将近一半（49%）的代码库包含高风险漏洞，而且91%的代码库包含已经过期四年以上或者近两年没有开发活动的组件。

针对企业面临的开源风险，新思科技提出用有效的方法跟踪和管理，为企业提供解决方案。

薛植元指出，开源治理在国外已经形成了完备的技术、方法论和实践，对于国内，近两年来由于信息安全一些事件、许可纠纷等因素，企业和政府都意识到开源风险的问题，并且对国内的开源产业非常重视，开源治理逐渐兴起，起步较晚还处在初级阶段，但是发展很快，实现了爆发式的增长。

薛植元认为开源软件数量庞大是开源治理的首要难点，在日前举办的2020 OSCAR开源产业大会上，新思科技软件组成分析工具Black Duck，开源组件检出率高达95%，从探测、保护、管理到监控提供端到端开源风险管理方案。

“Black Duck有哪些特性呢？首先第一点就是探测，探测能力非常强，而且非常的完备，针对不同的语言、不同的开发环境都有对应的探测手段，能深入找到这些开源组件。

第二点就是保护，我们可以探测到开源大脑中的已知的安全漏洞和开源的相关风险，并且给予你一个比较及时的修复的建议。

第三点其实就是管理，你可以在基于Black Duck的基础上去制定验证和强制执行你的开源软件使用策略，使它整个融入到软件开发生命周期当中，使整个的策略、人和技术，三者统一。”薛植元说道。